DMARC para el comercio electrónico: entregabilidad y confianza en la misma línea

DMARC sirve a ambos a la vez

Ahí reside la elegancia del control para el comercio electrónico: el mismo trabajo responde a las dos cuestiones. Al alinear limpiamente todas las fuentes de envío y llevar el dominio a p=reject, se bloquea la suplantación y se envía a los proveedores de correo una señal de seriedad que mejora la entregabilidad legítima. No hay que elegir entre proteger la marca y hacer que lleguen los correos: se obtienen ambas con la misma publicación DNS bien hecha.

El parque de envío de un comercio es más amplio de lo que se cree

La dificultad propia del comercio electrónico es la multiplicidad de fuentes. Un comercio típico envía desde:

• su propia plataforma de comercio electrónico (confirmaciones, cuentas de clientes);
• un proveedor de emailing para las campañas de marketing;
• un servicio transaccional distinto para los recibos y notificaciones;
• transportistas y soluciones logísticas que notifican en nombre de la tienda;
• plataformas de reseñas, de atención al cliente, de programa de fidelización.

Cada una debe ser identificada y alineada, so pena de que pasar a p=reject rompa correos legítimos. Por eso el primer paso nunca es endurecer la política, sino observar mediante los informes agregados para cartografiar el conjunto del parque real —casi siempre más extenso de lo que el equipo de marketing imaginaba—.

El logotipo verificado como baza de conversión

Hay un beneficio específicamente comercial en llegar hasta el final. Alcanzar p=reject desbloquea BIMI, que permite mostrar el logotipo verificado junto a los mensajes en las bandejas compatibles. Para una marca de comercio, cuya relación entera se juega en el reconocimiento y la confianza, ese logotipo es un activo de conversión: hace su correo legítimo instantáneamente identificable y hace que una falsificación sin logotipo parezca visiblemente sospechosa. El razonamiento completo, trasladable tal cual al comercio electrónico, se desarrolla para las marcas financieras en DMARC para bancos —pero la cuestión de marca es, para un comercio, aún más directa—.

Este beneficio no es teórico para un comercio: en una bandeja de entrada saturada de solicitudes comerciales, el logotipo verificado es una referencia visual que distingue su mensaje auténtico del ruido —y de la falsificación—. Actúa como una prenda de legitimidad en el momento preciso en que el cliente decide abrir, hacer clic, comprar. Pocas palancas ofrecen tal efecto de reconocimiento de marca por un coste tan marginal una vez alcanzada la aplicación de DMARC. Por eso vale la pena apuntar a BIMI desde el diseño del programa, aunque su activación llegue en último lugar, después del trabajo de alineación.

Un escenario concreto: el falso correo de entrega

El gran clásico de la suplantación de comercios merece descomponerse, de lo eficaz que es. Un atacante suplanta el dominio de una enseña que ha quedado en p=none y envía en masa un aviso de paquete en espera que reclama unos gastos de entrega para desbloquearlo, mostrando la dirección auténtica de la tienda. Estadísticamente, una parte de los destinatarios tiene realmente un pedido en curso —el mensaje cae justo, la vigilancia baja y el pago fraudulento se realiza—.

Para la tienda, los daños son dobles: clientes perjudicados que asocian el fraude a su marca, y una avalancha de reclamaciones al soporte que debe explicar, incómodo, que no tiene nada que ver. El mismo mensaje, con el dominio en p=reject, nunca llega a las bandejas: es rechazado en la entrega. La diferencia entre sufrir esta campaña e ignorarla depende de un solo cambio de política —de la observación a la aplicación—.

Marketing y transaccional: no mezclarlos

Una buena práctica específica del comercio electrónico merece conocerse pronto: separar los flujos de marketing y transaccional en subdominios distintos —por ejemplo un subdominio dedicado a las campañas, otro a los recibos y notificaciones—. El interés es doble. Primero, la reputación de remitente: un incidente en las campañas de marketing (quejas, bajas) no mancha la entregabilidad crítica de los correos transaccionales de la que depende el seguimiento del pedido. Después, la claridad de la alineación: cada subdominio tiene sus fuentes bien identificadas, lo que simplifica la marcha hacia p=reject y el ajuste de la política de subdominio.

Es una inversión de arquitectura que rinde a largo plazo, al aislar el flujo que más pesa sobre la facturación —el transaccional— de los vaivenes del marketing de masas.

Marketplaces y remitentes de terceros

Muchos comercios venden también a través de marketplaces o se apoyan en socios que envían en su nombre. Estos remitentes de terceros son una fuente de alineación delicada: el comercio no siempre controla su configuración SPF y DKIM, y sin embargo sus mensajes pretenden venir de su marca. La regla es inventariarlos explícitamente durante la fase de observación, verificar qué permiten en materia de alineación, y tratar caso por caso a los que no pueden alinearse limpiamente —aunque sea haciéndolos emitir desde su propio dominio en lugar del suyo—. Dejar un tercero no alineado suelto por ahí es la causa más frecuente de un paso a reject que «rompe correos».

Medir lo que aporta

A diferencia de muchos controles de seguridad cuyo beneficio es invisible, la autenticación de correo produce señales medibles para un comercio. Del lado de la entregabilidad, se puede seguir la evolución de la tasa de llegada a la bandeja de entrada de los correos transaccionales tras la alineación, y la bajada de las reclamaciones «no he recibido mi confirmación». Del lado de la marca, los informes agregados muestran negro sobre blanco el volumen de mensajes suplantados que intentaban pasar en nombre de la enseña —una cifra a menudo elocuente, que materializa el riesgo recién cerrado—. Estos indicadores transforman un proyecto técnico en un resultado presentable a una dirección, y justifican el esfuerzo de alineación mucho más allá del mero argumento de cumplimiento.

Los pasos a seguir

1. Diagnosticar el dominio con un analizador DMARC gratuito para conocer el punto de partida.
2. Publicar DMARC en p=none y recopilar los informes para identificar todas las fuentes de envío.
3. Alinear cada fuente en SPF y DKIM —plataforma, ESP, transaccional, transportistas, reseñas—.
4. Subir de política hacia quarantine y luego reject, vigilando los informes en cada nivel (el método).
5. Planificar BIMI como recompensa final, una vez alcanzada la aplicación de la política.

Comprobar el estado de la tienda

El primer paso no cuesta nada. Basta con pasar el dominio desde el que los clientes reciben sus confirmaciones por nuestro analizador DMARC gratuito para un veredicto inmediato, y comparar la postura del sector en el Observatorio DMARC. Otros sectores de alto volumen y alta confianza comparten el mismo perfil de riesgo, como la sanidad.

Cartografiar un parque de envío de comercio abundante y llevarlo a p=reject sin romper un solo correo de pedido es exactamente lo que Thomas, el CISO virtual, automatiza: nombra cada fuente de envío, genera el DNS que publicar, evalúa la preparación e indica cuándo se puede aplicar la política sin riesgo. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.